交换机安全学习笔记 第九~十章 HSRP VRRP

HSRP  (Hot Standby Router Protocol) 热备份路由器协议 思科私有

HSRP消息
使用UDP 端口号 1985(IPv6时为2029) 使用多播地址 224.0.0.2(版本1)    224.0.0.112(版本2)       TTL值为1 (即不允许被转发)
注意!这里使用的多播地址都在多播地址的本地链路地址范围内。
本地链路（link local）范围
根据定义，本地链路范围内的所有组地址仅在一条链路内有效；也就是说，进在一个LAN内有效。去往一个本地链路地址的数据包绝不会被路由到该LAN之外。这也意味着，黑客们在任何时候都不可能把伪造的HSRP数据包发送给一个远程LAN内的攻击目标,因为转发路径上的所有路由器都讲简单的丢弃该数据包。

HSRP 虚拟IP地址对应的MA 交换机安全学习笔记 第九~十章 HSRP VRRP C地址的最后的XXX对应的是HSRP组号。
HSRP 版本1  0000.0C07.ACXX
IPv4 版本2   0000.0C9F.FXXX
IPv6 版本2   0005.73A0.0XXX

HSRP状态
初始状态
学习状态
监听状态
发言状态
备份状态
活跃状态

HSRP计时器
Hello间隔 (默认3S)
保持时间(默认10S)

Switch(config-if)#standby group-number ip virtual-ip-address
Switch(config-if)#standby group-number priority priority-value

HSRP占先权
优先级高的路由器重新获得转发权,成为活跃路由器
Switch(config-if)#standby group-number preempt

HSRP计时器
配置 Hello 间隔和保持时间
Switch(config-if)#standby group-number times hellotime holdtime

HSRP端口跟踪
Switch(config-if)#standby group-number track type mod/mum interface-priority

HSRP状态查看
Switch#show standby group-number brief
Switch#show standby

缓解攻击的有效方法1使用强认证,采取 预配置共享密钥链的方法.详见 局域网交换机安全142页.
方法2 依靠基础网络设施限制非新人接口接入的设备发送HSRP消息. 如VLAN ACL 限制指定IP地址为源才能发送HSRP消息.具体配置示例详见局域网交换机安全144页.